Heute, am 21. Oktober 2026 um 16 Uhr, haben Web-Administratoren auf der ganzen Welt gleichzeitig auf einen einzigen Knopf gewartet: das Notfall-Update für die Programmiersprache PHP. Unser Update war um 16:52 Uhr eingespielt. Warum das so wichtig war und warum auch Menschen ohne IT-Hintergrund davon gehört haben sollten, erkläre ich hier.

Was ist passiert?

Am Abend des 20. Oktober hat das PHP-Sicherheitsteam eine ungewöhnliche Vorwarnung verschickt: Am nächsten Tag komme ein dringendes Sicherheitsupdate. Der Grund für die Eile: Details zu zwei schweren Fehlern waren vorzeitig im Internet aufgetaucht, bevor eine Korrektur bereitstand. Die Lücken laufen unter dem Namen PHP2Shell und den Kennungen CVE-2026-109618 und CVE-2026-109619.

Beide wurden mit 9,2 von 10 möglichen Punkten als kritisch eingestuft. Im Klartext: Ein Angreifer könnte über das Internet eigene Befehle auf einem fremden Webserver ausführen, ohne sich irgendwo anmelden zu müssen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) rechnete damit, dass die Lücken innert weniger Stunden nach Erscheinen des Updates grossflächig ausgenutzt werden. Einige Hochschulen und die Berliner Charité haben ihre Websites vorsorglich vom Netz genommen.

Was ist PHP überhaupt?

PHP ist eine Programmiersprache, die auf dem Server läuft, also auf dem Computer im Rechenzentrum, der eine Website ausliefert. Als Besucher sieht man PHP nie direkt. Man sieht nur das Ergebnis.

Ein Vergleich aus dem Alltag: Stellen Sie sich ein Restaurant vor. Ihr Browser ist der Gast, der eine Bestellung aufgibt, etwa «zeig mir die Konzertagenda». PHP ist der Koch in der Küche. Er nimmt die Bestellung entgegen, holt die Zutaten aus dem Vorratsraum (der Datenbank) und richtet die Seite frisch an, bevor sie serviert wird. Fast jede Website, die Inhalte aus einer Datenbank zeigt, ein Login hat oder ein Formular verarbeitet, braucht so einen Koch.

PHP gibt es seit 1995. Ich programmiere seit Jahrzehnten damit, und die Sprache hat sich in dieser Zeit enorm weiterentwickelt. Sie ist schnell, kostenlos, quelloffen und auf praktisch jedem Webhosting verfügbar. Genau das hat sie so populär gemacht.

Wie wichtig ist PHP für das Internet?

Sehr wichtig. Laut dem Statistikdienst W3Techs läuft PHP auf rund 70 Prozent aller Websites, bei denen sich die serverseitige Programmiersprache feststellen lässt (Stand August 2026). Keine andere Sprache kommt auch nur in die Nähe. Bei den grössten Websites der Welt, den Top 1 Million, liegt der Anteil immer noch bei rund zwei Dritteln.

Der wichtigste Treiber dafür ist WordPress. Das Redaktionssystem, mit dem auch dieser Blog betrieben wird, ist in PHP geschrieben und steckt hinter über 40 Prozent aller Websites weltweit. Dazu kommen unzählige Online-Shops, Vereinsseiten, Firmenauftritte und Behördenportale.

Das Sicherheitsunternehmen Palo Alto Networks zählte bei der Veröffentlichung der Lücke über 22,6 Millionen öffentlich erreichbare Systeme, die potenziell verwundbar sind. Diese Zahl macht greifbar, was «kritisch» hier bedeutet.

Bekannte Dienste, die auf PHP setzen

Viele Angebote, die man täglich nutzt, basieren ganz oder teilweise auf PHP. Eine Auswahl:

Dienst	Was es ist	Rolle von PHP
Wikipedia	Grösste Enzyklopädie der Welt	Die Software MediaWiki ist in PHP geschrieben; sie treibt auch Fandom und wikiHow an
Facebook	Soziales Netzwerk	Ursprünglich komplett in PHP; heute läuft es auf Hack, einer eigenen Weiterentwicklung von PHP
Slack	Team-Chat	Ein Grossteil der Logik auf dem Server stammt aus der PHP-Welt
Etsy	Online-Marktplatz für Handgemachtes	Plattform in PHP; der Erfinder von PHP, Rasmus Lerdorf, arbeitet dort
Vimeo	Videoplattform	Setzt seit Jahren auf PHP
Mailchimp	Newsletter-Versand	Ursprünglich in PHP gebaut

Dazu kommen die grossen Baukästen, mit denen Millionen von Websites erstellt werden:

• Websites und Blogs: WordPress, Joomla, Drupal und TYPO3 (in der Schweiz bei Gemeinden und Firmen verbreitet)
• Online-Shops: WooCommerce, Magento (Adobe Commerce), Shopware und PrestaShop
• Eigene Cloud und Lernen: Nextcloud, Moodle und das Webanalyse-Tool Matomo

Eine Einschränkung zur Ehrlichkeit: Facebook und Slack verwenden nicht mehr den klassischen PHP-Interpreter, sondern eigene Varianten. Ob sie von genau dieser Lücke betroffen sind, ist offen. Die vielen Millionen gewöhnlichen Websites mit WordPress, Shop-Systemen und Vereinsseiten nutzen dagegen genau das PHP, das heute repariert wurde.

Was genau ist das Problem?

Zurück in die Restaurantküche. Normalerweise arbeitet der Koch eine Bestellung nach der anderen sauber ab. Bei PHP2Shell kann ein Angreifer eine speziell präparierte Bestellung schicken, die den Koch überfordert: Sein Arbeitsplatz läuft voll, er muss mitten im Arbeitsschritt abbrechen.

Beim anschliessenden Aufräumen passiert der eigentliche Fehler. Halb ausgefüllte Notizzettel bleiben liegen, und der Koch hält sie für gültig. Bei der zweiten Lücke bleibt sogar ein Zettel von einer früheren Bestellung hängen, obwohl er längst weggeworfen sein müsste. Wer geschickt vorgeht, kann auf diesem Weg seine eigenen Anweisungen unterschieben. Der Koch führt sie dann aus, als kämen sie vom Restaurant selbst.

Besonders heikel: Der Angriff passiert, bevor die eigentliche Website überhaupt zum Zug kommt. Ein gut gepflegtes WordPress mit allen Updates schützt also nicht, wenn das darunterliegende PHP veraltet ist. Betroffen sind praktisch alle PHP-Installationen, die Webanfragen beantworten, und der Fehler steckte offenbar seit Jahrzehnten im Code.

Gefunden mit Hilfe von künstlicher Intelligenz

Spannend ist, wie die Lücken entdeckt wurden. Laut BSI waren die Sicherheitsfirmen Wiz und Calif zusammen mit OpenAI beteiligt. Die Forscher von Wiz schreiben, der Fehler sei seit Jahrzehnten im Code gewesen. Ihn tatsächlich ausnutzbar zu machen, habe aber eine so lange Kette von Schritten erfordert, dass dies für Menschen allein kaum zu schaffen gewesen sei. Moderne KI-Modelle hätten diese Hürde deutlich gesenkt.

Das ist eine zweischneidige Entwicklung. KI hilft, alte Fehler zu finden, bevor Kriminelle es tun. Sie hilft aber auch Angreifern, aus einer veröffentlichten Korrektur in wenigen Stunden ein funktionierendes Angriffswerkzeug zu bauen. Die Zeit zwischen Update und erstem Angriff wird damit immer kürzer. Wer seine Systeme nicht sofort aktualisiert, geht ein immer grösseres Risiko ein.

Was heisst das für Nutzende?

Als Besucherin oder Besucher von Websites müssen Sie nichts tun. Die Lücke betrifft die Server, nicht Ihren Computer oder Ihr Handy. Wenn eine Website heute kurz nicht erreichbar war, dann vermutlich, weil die Betreiber verantwortungsvoll gehandelt haben.

Wer selbst eine Website betreibt, sollte jetzt handeln:

1. Beim Hoster nachfragen oder im Kundenbereich prüfen, welche PHP-Version läuft. Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.
2. Wer noch PHP 8.1 oder älter verwendet, erhält vom PHP-Projekt kein Update mehr. Hier ist ein Wechsel auf eine aktuelle Version dringend nötig. Auch PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates.
3. Wer die eigene Website selbst betreut und nicht weiter weiss: Lieber eine Fachperson beiziehen als abwarten. Die britische Cybersicherheitsbehörde NCSC empfiehlt sogar, nicht aktualisierbare Systeme vorübergehend vom Netz zu nehmen.

Wichtig: Ein aktuelles WordPress oder ein aktueller Shop allein genügt nicht. Entscheidend ist die PHP-Version darunter.

Meine Server: zehn Minuten nach Freigabe aktualisiert

Das PHP-Team hat die korrigierten Versionen um 16 Uhr veröffentlicht. Um 16:52 Uhr lief das Update auf meinen Servern bereits durch, inklusive dieser Webseite. Möglich war das, weil ich nach der Vorwarnung auch durch meinen Sohn Adrian, der in der IT-Sicherheit arbeitet, bereits vorgewarnt und vorbereitet war und nur noch auf die Freigabe warten musste.

Fazit

PHP2Shell zeigt zweierlei. Erstens, wie stark das heutige Internet auf einer einzigen, von Freiwilligen und Firmen gemeinsam gepflegten Programmiersprache ruht. Zweitens, dass Sicherheit kein Zustand ist, sondern Arbeit: Updates müssen zeitnah eingespielt werden, gerade jetzt, wo KI das Finden und Ausnutzen von Fehlern beschleunigt.

PHP bleibt trotzdem eine ausgezeichnete Wahl. Eine Sprache, die so verbreitet ist, wird auch besonders genau geprüft. Und wenn etwas gefunden wird, reagiert die Gemeinschaft dahinter schnell und koordiniert, wie heute eindrücklich zu sehen war.

Quellen

• BSI: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
• Help Net Security: PHP2Shell, critical PHP vulnerabilities patched
• NCSC (UK): Critical security issue affecting PHP
• Unit 42 / Palo Alto Networks: Threat Brief zu CVE-2026-109618 und CVE-2026-109619
• BleepingComputer: PHP warns admins of two critical flaws
• nbtimes: Webseiten gehen vom Netz
• W3Techs: Usage statistics of PHP
• W3Techs: PHP nach Ranking